Die beiden Sicherheitslücken CVE-2026-2699 und CVE-2026-2701 in der Storage Zones Controller-Komponente (SZC) von Progress ShareFile ermöglichen eine vollständige Kompromittierung betroffener Systeme. Die Angriffskette beginnt mit dem Authentifizierungs-Bypass CVE-2026-2699, der durch unsachgemäße Verarbeitung von HTTP-Weiterleitungen ausgelöst wird und Angreifern Zugriff auf das ShareFile-Admin-Interface verschafft.
Ist der erste Schritt erfolgreich, können Attackers kritische Konfigurationsparameter manipulieren, darunter Dateispeicherpfade, Zone-Passphrasen und sicherheitsrelevante Geheimnisse. Im zweiten Schritt nutzen sie die Remote-Code-Execution-Lücke CVE-2026-2701 aus, um bösartige ASPX-Webshells in das Anwendungsverzeichnis hochzuladen und dadurch vollständige Kontrolle über den Server zu erlangen.
Obwohl die Ausnutzung valid HMAC-Signaturen und das Extrahieren interner Secrets erfordert, werden diese Hürden durch die erste Schwachstelle überwunden — die Angreifer können die notwendigen Werte selbst setzen oder kontrollieren.
Die Forschungsgruppe watchTowr entdeckte die Flaws zwischen dem 6. und 13. Februar und bestätigte die komplette Exploit-Kette am 18. Februar. Progress reagierte relativ schnell und veröffentlichte Sicherheitsupdates in Version 5.12.4 am 10. März.
Als besonders besorgniserregend gilt die Anzahl exponierter Systeme: Scan-Ergebnisse deuten auf etwa 30.000 öffentlich erreichbare Storage Zone Controller hin. Die ShadowServer Foundation registriert aktuell 700 internet-exponierte ShareFile-Instanzen, überwiegend in den USA und Europa.
Obwohl bislang keine aktiven Exploits in der freien Wildbahn dokumentiert wurden, besteht akuter Handlungsdruck. Die öffentliche Offenlegung der Exploit-Kette wird voraussichtlich Cyberkriminelle anlocken — insbesondere Ransomware-Banden, die bereits Sicherheitslücken in ähnlichen Produkten wie Accellion FTA, SolarWinds Serv-U und MOVEit Transfer erfolgreich ausgenutzt haben.
Unternehmen sollten ihre ShareFile-Installationen sofort überprüfen und auf Version 5.12.4 oder höher aktualisieren. Die regelmäßige Überwachung exponierter Systeme und die Implementierung starker Zugriffskontrollmechanismen sind ebenfalls essentiell.